Ваш ИИН оказался на коммерческом сайте: как казахстанцам потребовать удалить данные

Казахстанка обнаружила свои фамилию, имя, отчество и ИИН в открытом доступе на коммерческом сайте, хотя, по ее словам, согласия на публикацию этих сведений она не давала. Ситуация подняла более широкий вопрос: может ли частный ресурс собирать персональные данные из государственных баз и размещать их у себя без отдельного разрешения человека.

Ответ зависит от того, в каком качестве сведения о человеке опубликованы. Для индивидуальных предпринимателей часть информации о бизнесе действительно может находиться в открытых государственных источниках. Если же речь идет об обычном физическом лице и данные не связаны с предпринимательской деятельностью, основания для их публикации должны оцениваться отдельно.

Почему Ф. И. О. и ИИН предпринимателя могут быть доступны

Женщина рассказала в соцсетях, что после обнаружения своих данных связалась с коммерческим сайтом. Там ей сначала сообщили, что сведения поступают из государственных ресурсов.

Представители ресурса позднее уточнили, что публикуют информацию о юридических лицах и индивидуальных предпринимателях, а сведения получают из открытых государственных источников, в том числе сервисов Комитета государственных доходов.

Ключевое различие здесь связано со статусом человека.

Закон «О персональных данных и их защите» допускает использование без отдельного согласия персональных данных субъектов предпринимательства, которые непосредственно относятся к их предпринимательской деятельности, для формирования реестра бизнес-партнеров.

В государственном реестре бизнес-партнеров могут использоваться сведения о предпринимателях из государственных информационных систем и открытых источников. При этом их сбор и обработка все равно должны соответствовать законодательству о персональных данных.

То есть сам факт появления Ф. И. О. или ИИН предпринимателя на стороннем ресурсе еще не доказывает нарушение.

Но открытые данные нельзя использовать как угодно

То, что определенная информация относится к общедоступной, не дает коммерческому сайту безусловного права использовать ее для любых целей.

Бюро национальной статистики сообщило, что между ним и сайтом, на который пожаловалась казахстанка, нет действующего соглашения о передаче данных или интеграции. Бюро также не передает этому ресурсу списки предпринимателей для последующей публикации.

При этом сторонние сайты могут самостоятельно получать сведения из открытых источников.

Само Бюро действительно предоставляет сервис поиска юридических лиц и индивидуальных предпринимателей по БИН или ИИН, однако сейчас он доступен через авторизованный кабинет пользователя.

Поэтому важен не только первоначальный источник информации, но и то, для какой цели коммерческий ресурс собирает данные, как их обрабатывает и кому предоставляет доступ.

А если человек не является ИП

Для персональных данных обычного физического лица действует другой подход.

По общему правилу сбор и обработка персональных данных осуществляются с согласия человека, если закон прямо не предусматривает исключение.

Именно поэтому наличие в открытом доступе Ф. И. О. и ИИН человека, не связанных с его предпринимательской деятельностью, само по себе нельзя объяснить правилом о реестрах бизнес-партнеров.

В таком случае владелец сайта должен иметь законное основание для сбора, обработки и распространения информации.

Как узнать, откуда сайт получил ваш ИИН

Закон дает человеку право потребовать у владельца или оператора базы сведения о том, какие его персональные данные обрабатываются.

В том числе можно запросить:

• источник получения данных;
• цель их сбора и обработки;
• способ получения;
• перечень хранящихся сведений;
• срок их обработки и хранения.

Такое право предусмотрено статьей 24 Закона «О персональных данных и их защите».

По действующим правилам оператор должен предоставить эту информацию либо мотивированный отказ в течение трех рабочих дней после получения обращения, если законом не установлен другой срок.

Можно ли потребовать удалить данные

Если персональные данные собраны или используются с нарушением законодательства, человек вправе требовать их блокировки и удаления.

Правила обработки персональных данных предусматривают удаление информации, полученной или обрабатываемой незаконно, по требованию субъекта данных, за исключением специально предусмотренных законом случаев.

Поэтому первым шагом должно быть обращение непосредственно к владельцу сайта. Желательно сохранить скриншоты страницы и направить письменный запрос, чтобы остались доказательства обращения.

Если сайт не отвечает, отказывается объяснить происхождение информации или человек считает обработку данных незаконной, можно обратиться в Комитет по информационной безопасности через eOtinish и приложить скриншоты, переписку и другие подтверждения.

Главное различие для пользователя состоит в статусе данных. Если Ф. И. О. и ИИН опубликованы как сведения об ИП, их использование в определенных законом целях может быть допустимым. Если те же данные распространяются как сведения об обычном физическом лице, коммерческому ресурсу потребуется самостоятельное законное основание.